CVE-2026-30863 – Проверка аудитории JWT в Parse Server

Затронутые версии
Parse Server < 8.6.10 и < 9.5.0-alpha.11

Уязвимые компоненты

• Адаптер аутентификации Google (GoogleAuthAdapter)
• Адаптер аутентификации Apple (AppleAuthAdapter)
• Адаптер аутентификации Facebook (FacebookAuthAdapter)

Основная причина
Когда адаптер настроен без указания параметра аудитории (clientId для Google/Apple, appIds для Facebook), базовая проверка JWT (с использованием jsonwebtoken или аналогичного) пропускает проверку утверждения audience. Действительный JWT, выпущенный для любого другого приложения (с совпадающим издателем и подписью), принимается как подлинный.

Предварительные условия для эксплуатации